Ist die AS400 nicht von Haus aus sicher?

IBM i lässt sich sehr gut absichern. Sicher ist es aber nur, wenn die Einstellungen stimmen. Viele Systeme laufen mit Einstellungen, die Jahre oder Jahrzehnte alt sind. Genau dort setzen Angreifer an.

Welche Sicherheitsstufe sollte meine IBM i haben?

Mindestens 40, das empfehlen IBM und die CIS Benchmarks. Bei Sicherheitsstufe 30 und darunter lassen sich Berechtigungen leichter umgehen, zum Beispiel über Jobbeschreibungen mit mächtigem Benutzerprofil. Ältere Systeme stehen oft noch auf 30.

Wie finde ich Standardkennwörter auf der AS400?

Mit dem Befehl ANZDFTPWD. Er listet alle Profile, deren Kennwort dem Profilnamen entspricht. Mit ACTION(*DISABLE) sperren Sie diese Profile gleich.

Kann ich die AS400-Sicherheit selbst prüfen?

Die Grundeinstellungen ja – mit den Befehlen und SQL-Abfragen aus dieser Checkliste. Ob sich eine Lücke wirklich ausnutzen lässt, zeigt aber erst ein Penetrationstest. Den sollten Spezialisten für IBM i durchführen.

Reicht ein Pentest unseres Netzwerk-Dienstleisters?

Meist nicht. Ein Netzwerk-Pentest findet offene Ports und unsichere Dienste. Ob ein Benutzer über ODBC, FTP oder eine Netzwerkfreigabe an die Daten Ihrer IBM i kommt, prüft er in der Regel nicht.

Was ist der Unterschied zwischen Pentest und Security Assessment?

Der Pentest zeigt, ob sich eine Lücke tatsächlich ausnutzen lässt – zum Beispiel ob jemand über SQL, FTP oder ein Netzlaufwerk an Ihre Daten kommen könnte. Das Security Assessment prüft die gesamte Sicherheitskonfiguration nach den CIS Benchmarks für IBM i, auf allen LPARs.

Hilft eine Sicherheitsprüfung bei NIS2?

Ja. NIS2 verlangt, dass Sie die Risiken Ihrer IT kennen und steuern. Eine jährliche Prüfung Ihrer IBM i mit dokumentiertem Bericht unterstützt Sie dabei.

Wie oft sollte ich die Sicherheit meiner IBM i prüfen?

Wir empfehlen eine Prüfung einmal im Jahr. Neue Benutzer, Freigaben, Anwendungen und Releases ändern die Lage laufend.

Ratgeber · 2. November 2026

AS400 Sicherheit prüfen: Checkliste für Ihre IBM i

So prüfen Sie die Sicherheit Ihrer AS400 (IBM i): Sicherheitsstufe QSECURITY auf 40 oder 50, keine Standardkennwörter, wenige Profile mit *ALLOBJ, kein *PUBLIC *CHANGE auf Datenbibliotheken, Exit-Points für ODBC und FTP, TLS, ein aktives Audit-Journal und ein unterstütztes Release. Die 11 Punkte unten zeigen Ihnen Befehle und SQL-Abfragen dazu. Ob sich eine Lücke wirklich ausnutzen lässt, zeigt erst ein Penetrationstest.

Das Wichtigste in Kürze

Die AS400 (auch AS/400, iSeries, System i) heißt heute IBM i. Sie lässt sich sehr gut absichern – wenn die Einstellungen stimmen.
Laut Kisco Systems steuern fast 50 Einstellungen die Kernsicherheit von IBM i. Viele Systeme laufen mit veralteten Werten.
Die häufigsten Lücken: Sicherheitsstufe 30, Standardkennwörter, zu viele Sonderberechtigungen, offene Netzwerkdienste und unverschlüsselte Verbindungen.
Die Grundeinstellungen prüfen Sie mit den 11 Punkten unten selbst. Ob sich eine Lücke ausnutzen lässt, zeigt erst ein IBM i Penetrationstest.
Prüfen Sie Ihre IBM i einmal im Jahr. Das hilft Ihnen auch bei den Anforderungen von NIS2.

Warum Sie die Sicherheit Ihrer AS400 jetzt prüfen sollten

Lange galt die AS400 als sicher, weil sie kaum jemand kannte. Das reicht heute nicht mehr. Im April 2025 sagte der IBM-i-Chefarchitekt von IBM in einem Webinar mit Kisco Systems: Das System wurde in den letzten fünf Jahren häufiger angegriffen als in seiner ganzen Geschichte davor.

Das Problem ist selten IBM i selbst. Es sind die Einstellungen. Viele stammen aus der Zeit der Menüsicherheit: Benutzer sehen nur ihr Menü und kommen nicht an die Befehlszeile. Über ODBC, FTP oder eine Netzwerkfreigabe greift diese Sperre aber nicht. Wer dort ein gültiges Profil hat, kommt oft an mehr Daten, als er sollte.

Dazu kommt: Viele Einstellungen hat jemand gesetzt, der längst nicht mehr im Unternehmen ist. Niemand weiß mehr genau, warum sie so sind.

Checkliste: 11 Punkte für Ihre IBM i

Prüfpunkt	Soll-Zustand	So prüfen Sie
Sicherheitsstufe	Systemwert QSECURITY steht auf 40 oder 50	WRKSYSVAL QSECURITY oder SQL-Abfrage unten
Kennwörter	Kennwortstufe QPWDLVL 2 oder 3, ausreichende Mindest- und Maximallänge	WRKSYSVAL QPWDLVL, QPWDMINLEN, QPWDMAXLEN
Standardkennwörter	Kein Kennwort entspricht dem Profilnamen	ANZDFTPWD
Sonderberechtigungen	Nur wenige Profile mit ALLOBJ, SECADM, *IOSYSCFG	QSYS2.USER_INFO
Öffentliche Berechtigung	PUBLIC hat auf Datenbibliotheken nicht CHANGE oder *ALL	DSPOBJAUT, Systemwert QCRTAUT
Jobbeschreibungen	Keine Jobbeschreibung mit mächtigem Profil, die jeder nutzen darf	WRKJOBD, Sicherheitsstufe
Netzwerkdienste	ODBC, FTP, DDM und Remote-Befehle sind über Exit-Points geregelt	WRKREGINF
NetServer-Freigaben	Keine Freigabe von / (Root) mit Schreibrechten	IBM Navigator for i
Verschlüsselung	5250, FTP, ODBC und Navigator laufen über TLS, keine alten Protokolle	DCM, Systemwerte QSSLPCL und QSSLCSL
Audit-Journal	QAUDJRN ist aktiv und wird ausgewertet	Systemwerte QAUDCTL und QAUDLVL
Release und PTFs	Unterstütztes Release, aktuelle Gruppen-PTFs	WRKPTFGRP, IBM-Lifecycle-Seite

1. Sicherheitsstufe QSECURITY: 30 oder 40?

Der Systemwert QSECURITY legt fest, wie streng IBM i Berechtigungen durchsetzt. IBM und die CIS Benchmarks empfehlen mindestens Stufe 40. Bei Stufe 30 und darunter genügt zum Beispiel das Nutzungsrecht auf eine Jobbeschreibung, um unter dem mächtigen Benutzerprofil darin zu arbeiten. Ab Stufe 40 braucht man zusätzlich das Nutzungsrecht auf dieses Profil. Steht Ihr System noch auf 30, testen Sie den Wechsel auf 40 vorher gründlich.

2. Kennwörter: QPWDLVL, QPWDMINLEN und QPWDMAXLEN

Bei Kennwortstufe 0 oder 1 sind Kennwörter höchstens 10 Zeichen lang, und IBM i unterscheidet nicht zwischen Groß- und Kleinschreibung. Viele Systeme begrenzen Kennwörter über QPWDMAXLEN sogar auf 8 Zeichen. Ab Stufe 2 erlaubt IBM i Kennwörter mit bis zu 128 Zeichen. Prüfen Sie auch die Mindestlänge und die Regeln für Ziffern und Sonderzeichen. Ab IBM i 7.6 gibt es außerdem eine eingebaute Mehrfaktor-Anmeldung.

3. Standardkennwörter finden mit ANZDFTPWD

Ein Standardkennwort ist ein Kennwort, das dem Profilnamen entspricht. Der Befehl ANZDFTPWD listet alle Profile mit Standardkennwort auf. Mit ACTION(*DISABLE) sperren Sie diese Profile gleich. Jedes gefundene Profil ist ein offenes Tor – besonders, wenn es Sonderberechtigungen hat.

4. Sonderberechtigungen

Sonderberechtigungen wie *ALLOBJ (Zugriff auf alles), *SECADM (Profile verwalten) oder *IOSYSCFG (Kommunikation und Freigaben einrichten) gehören nur zu wenigen Profilen. Mit dieser Abfrage sehen Sie, wer *ALLOBJ hat:

SELECT AUTHORIZATION_NAME, STATUS, SPECIAL_AUTHORITIES
  FROM QSYS2.USER_INFO
 WHERE SPECIAL_AUTHORITIES LIKE '%*ALLOBJ%';

Die Abfrage zeigt nur Rechte, die direkt am Profil hängen. Prüfen Sie auch, ob Profile über ihr Gruppenprofil an Sonderberechtigungen kommen.

5. Öffentliche Berechtigung (*PUBLIC)

*PUBLIC steht für alle Benutzer ohne eigene Berechtigung. Hat *PUBLIC auf Ihren Datenbibliotheken *CHANGE oder *ALL, darf jeder Benutzer die Daten ändern – auch per ODBC oder FTP. Welche Berechtigung neue Objekte bekommen, legt die Bibliotheks-Einstellung CRTAUT fest. Steht sie auf *SYSVAL, gilt der Systemwert QCRTAUT.

6. Jobbeschreibungen und übernommene Berechtigung

Jobbeschreibungen mit einem mächtigen Benutzerprofil im Parameter USER sind ein bekannter Angriffsweg. Dasselbe gilt für Programme, die die Berechtigung ihres Eigentümers übernehmen (USRPRF(*OWNER), „Adopt Authority“). Prüfen Sie, welche es gibt und wer sie aufrufen darf.

7. Netzwerkdienste und Exit-Points

ODBC und SQL, FTP, DDM und Remote-Befehle umgehen die Menüsicherheit. Auch LMTCPB(*YES) hilft nur begrenzt: Es sperrt Befehle, nicht den Zugriff auf Daten. Per ODBC oder FTP liest und ändert ein eingeschränkter Benutzer alles, worauf er Objektberechtigung hat. Exit-Programme regeln, wer diese Dienste nutzen darf und was protokolliert wird. Mit WRKREGINF sehen Sie, welche Exit-Points belegt sind. Dienste, die Sie nicht brauchen, schalten Sie ab.

8. NetServer-Freigaben

Eine Freigabe des Root-Verzeichnisses / mit Schreibrechten ist eines der größten Risiken auf IBM i. Über sie lässt sich das ganze Dateisystem lesen und ändern – und Schadsoftware auf einem Windows-PC kann Dateien auf der IBM i verschlüsseln. Geben Sie nur Verzeichnisse frei, die wirklich gebraucht werden.

9. Verschlüsselung (TLS)

5250-Sitzungen, FTP, ODBC und der Navigator sollten verschlüsselt laufen. Unverschlüsselt lassen sich Benutzernamen und Kennwörter im Netz mitlesen. Prüfen Sie auch, welche TLS-Versionen und Verschlüsselungsverfahren erlaubt sind. Das steuern Sie mit den Systemwerten QSSLPCL und QSSLCSL. IBM stuft TLS 1.0 und 1.1 sowie SSL als schwach ein. Welche Protokolle die Voreinstellung erlaubt, hängt vom Release ab – auf älteren Releases sind TLS 1.0 und 1.1 oft noch aktiv.

10. Audit-Journal (QAUDJRN)

Das Audit-Journal zeichnet sicherheitsrelevante Ereignisse auf. Es hilft aber nur, wenn es aktiv ist, die richtigen Ereignisse protokolliert und jemand die Einträge auswertet. Prüfen Sie die Systemwerte QAUDCTL, QAUDLVL und QAUDLVL2 und wie lange die Journaleinträge aufbewahrt werden.

11. Release und PTFs

Sicherheitsfixes gibt es nur für Releases im Support. Laut IBM sind seit dem 1. Oktober 2026 nur noch IBM i 7.5 und 7.6 im regulären Support. Für 7.4 gibt es bis 30. September 2029 eine kostenpflichtige Service Extension, für 7.3 eine Extended Service Extension bis 30. September 2028. Für 7.2 endete auch der verlängerte Service am 30. April 2026. Mehr dazu: AS400 Nachfolger. Spielen Sie die Gruppen-PTFs regelmäßig ein, vor allem die mit Sicherheitsfixes.

Mit dieser Abfrage sehen Sie mehrere wichtige Systemwerte auf einen Blick:

SELECT SYSTEM_VALUE_NAME, CURRENT_NUMERIC_VALUE, CURRENT_CHARACTER_VALUE
  FROM QSYS2.SYSTEM_VALUE_INFO
 WHERE SYSTEM_VALUE_NAME IN ('QSECURITY', 'QPWDLVL', 'QPWDMINLEN', 'QPWDMAXLEN',
                             'QCRTAUT', 'QSSLPCL', 'QAUDCTL', 'QAUDLVL', 'QAUDLVL2');

Selbst prüfen oder prüfen lassen?

Mit der Checkliste finden Sie die bekanntesten Schwachstellen in der Konfiguration. Zwei Dinge sehen Sie damit aber nicht:

Ob sich eine Lücke ausnutzen lässt. Das zeigt ein Penetrationstest. Er prüft mit echten Testprofilen, ob jemand über SQL, FTP, SSH, Netzlaufwerke oder 5250 an Ihre Daten kommen könnte.
Das vollständige Bild. Ein Security Assessment prüft die gesamte Sicherheitskonfiguration nach den CIS Benchmarks für IBM i, auf allen LPARs.

Beides bieten wir gemeinsam mit unserem Partner Kisco Systems an, einem US-Spezialisten für IBM i Security. Kisco prüft komplett remote, ab IBM i 7.1, und greift dabei nie auf Ihre Daten zu. Den Bericht erstellt Kisco auf Englisch, wir besprechen ihn mit Ihnen auf Deutsch. Mehr dazu: IBM i Pentest und Security Assessment.

Nach der Prüfung: sicher bleiben

Eine Prüfung zeigt den Stand von heute. Damit Ihre IBM i sicher bleibt, brauchen Sie aktuelle PTFs, ein ausgewertetes Audit-Journal und einen Blick auf ungewöhnliche Ereignisse. Dabei helfen IBM i Monitoring und IBM i Managed Services.